Proc.º n.º 1238/1362/2003

Parecer n.º 44/2003

1- A Associação Portuguesa de Marketing Directo (AMD) solicita à Comissão Nacional de Protecção de Dados (CNPD) parecer sobre o novo Código de Conduta das Empresas de Marketing Directo.

Esta Comissão é competente para a prática do acto em causa nos termos do n.º 2 do artigo 32.º da Lei n.º 67/98, de 26 de Outubro.

A CNPD já se pronunciou sobre o Código de Conduta ainda adoptado pela AMD, tendo concluído, na Deliberação n.º 36/96, que as soluções preconizadas respeitavam genericamente a lei de protecção de dados pessoais, ao tempo a Lei n.º 10/91, de 29 de Abril.

Desde a aprovação da citada deliberação até à data, registaram-se avanços no estudo e regulação da matéria, competindo destacar o Código de Conduta relativo ao uso de dados pessoais em operações de marketing directo aprovado pela FEDMA e o Parecer n.º 3/2003 sobre o tema emitido pelo Grupo de Protecção de Dados (Grupo do artigo 29.º). Daí que, a evolução no estudo do tema a que se circunscreve este parecer reflicta novas considerações sobre um texto muito semelhante – no que respeita aos oito primeiros artigos - ao Código de Conduta aprovado em 1995.

A CNPD observa que o novo projecto de Código de Conduta não faz referência à recolha e tratamento de dados pessoais a partir de meios electrónicos. Esta Comissão considera que seria sumamente vantajosa a inclusão de regras que disciplinassem, nomeadamente a actividade de marketing directo exercida com recurso ao correio electrónico.

O Código apresentado encontra-se dividido em duas partes; a primeira intitulada “Código de Conduta das Empresas de Marketing Directo. Tratamento de dados pessoais”, a segunda “Código de Conduta das Empresas de Marketing Directo Relativo às Práticas Leais”.

Considerando a I Parte cumpre notar que todas as disposições relevam em sede de protecção de dados pessoais, pelo que se passa ao seu exame crítico.

1- A CNPD considera que seria de toda a conveniência precisar o que se entende pela fórmula dados portugueses contida no preâmbulo. Não resulta claro tratar-se de dados pessoais relativos a portugueses, independentemente do país da recolha, ou de dados recolhidos sobre portugueses em Portugal, ou, ainda, de qualquer outra hipótese.

2- O n.º 1 do artigo 1.º prevê, no que respeita à protecção de dados, uma regra geral de cumprimento da lei em vigor e a necessidade de o tratamento operar de forma lícita , legal e não enganosa. Entende a CNPD que o cumprimento da lei em vigor implica a observância do disposto no n.º 1 do artigo 5.º da Lei n.º 67/98, de 26 de Outubro.

O n.º 2 refere expressamente a recolha directa de dados pessoais junto do seu titular. Aqui tornam-se pertinentes as regras relativas ao direito de informação , mencionando-se expressamente que a recolha deve ser precedida da informação , e da sua finalidade com respeito pelas exigências de adequação e pertinência. Apesar do Código de Conduta não ter que reproduzir a lei, a CNPD sublinha que nos casos de recolha directa devem ser cumpridas todas as normas do n.º 1 do artigo 10.º da Lei n.º 67/98, de 26 de Outubro , nos termos do n.º 3 de idêntica disposição legal . Assim, a informação deve ser prestada no momento do registo dos dados ou, se estiver prevista a comunicação a terceiros, o mais tardar aquando da primeira comunicação desses dados.

3- Sob a epígrafe direito à informação e acesso , o n.º 1 do artigo 2.º dispõe que as empresas associadas se obrigam a informar os interessados sobre existência de ficheiros, e sobre os dados pessoais que lhe respeitem, respectiva finalidade, bem como sobre a identidade do seu responsável sempre que solicitado por escrito. A CNPD considera que esta matéria se integra no direito de informação (artigo 10.º da Lei n.º 67/98, de 26 de Outubro). Assim, e independentemente de solicitação , os tratamentos citados devem ser comunicados ao titular dos dados nos termos do artigo 10.º da Lei n.º 67/98, de 26 de Outubro.

O n.º 2 do artigo 1.º e o n.º 1 do artigo 2.º referem-se ao direito de informação.

4- O n.º 2 do artigo 2.º tem por objecto dados pessoais não recolhidos directamente , mas através de documentos acessíveis ao público , objecto de publicação ou por via de terceiros. A CNPD considera que o facto de o titular figurar numa lista pública não legitima que seja os seus dados sejam transmitidos pelo responsável pela recolha, no caso de haver sido exercido o direito de oposição (artigo 12.º da Lei n.º 67/98, de 26 de Outubro) . Assim , as fórmulas documentos acessíveis ao público e objecto de publicação podem legitimar a consulta e a actividade de marketing directo , desde que não envolva a comunicação de dados de titulares a que a tal se hajam oposto aquando da recolha junto do responsável por esse tratamento . A CNPD tem aplicado coimas a comunicações de dados pessoais a empresas que procedem à sua recolha, nos casos em que o titular dos dados pessoais não se opõe à sua inclusão em listas públicas, mas em que se opõe à sua comunicação para efeitos de marketing directo.

O n.º 2 do artigo 2.º inscreve, em qualquer dos casos, a obrigação de apor na sua primeira promoção uma menção de que conste que o titular tem o direito de exigir a correcção e ou o completamento dos dados pessoais que lhe digam respeito, bem como a possibilidade de solicitar que, sem quaisquer custos para ele, os mesmos sejam eliminados dos ficheiros de endereços da empresa em causa para promoção e venda por Marketing Directo e de o respectivo nome e endereço ser incluído em lista de oposição de envio futuro de propostas, sempre que o solicite por escrito. A CNPD considera esta disposição adequada ao conteúdo do n.º 3 do artigo 10.º da Lei n.º 67/98, de 26 de Outubro. Note-se, porém, que aquando da recolha o titular dos dados deve ser informado da possibilidade da sua comunicação, bem como das condições em que podem ser exercidos os direitos de acesso e de rectificação junto do responsável pelo tratamento anterior à comunicação.

Entende-se que as expressões correcção e ou o completamento dos dados pessoais supõe um acesso prévio. Trata-se de uma concretização do direito de acesso (artigo 11.º da Lei n.º 67/98, de 26 de Outubro) .

Não se prevê, porém, um prazo máximo que defina quando deve ser respondida uma solicitação emitida ao abrigo do direito de acesso. A CNPD considera que seria adequada a fixação de um prazo máximo de trinta dias .

O n.º 3 do artigo 2.º do Código de Conduta estabelece o compromisso de as empresas associadas indicarem a origem da lista caso tal seja pedido , o que se afigura em harmonia com a alínea b) do n.º 1 do artigo 11.º da Lei n.º 67/98, de 26 de Outubro .

5- As rectificação e actualização de dados, enunciadas no artigo 3.º do Código de Conduta, estão conformes com a Lei n.º 67/98, de 26 de Outubro. A CNPD considera, porém, excessivo o período de 120 dias como prazo máximo para a eliminação do nome de uma lista destinada a marketing directo .

6- O artigo 4.º estabelece que as empresas associadas se comprometem a não recolher, conservar ou utilizar dados pessoais referentes a condenações em processo criminal, suspeita de actividades ilícitas, estado de saúde e vida sexual, os quais apenas podem ser objecto de tratamento nos termos da lei. A CNPD entende que a redacção deste artigo só adquire um sentido útil se dele for retirada a proposição final os quais apenas podem ser objecto de tratamento nos termos da lei.

De facto, nos termos da lei , pode ser efectuada a recolha, conservação ou utilização dos dados sensíveis em causa. A novidade introduzida pelo Código de Conduta será o compromisso de não recolher, conservar ou utilizar dados pessoais sensíveis, apesar da possibilidade legal de o fazer.

A CNPD observa que o elenco de dados sensíveis definido no artigo 4.º em relação aos quais existe não observa o previsto no artigo 7.º da Lei n.º 67/98, de 26 de Outubro. Não se faz menção aos dados relativos a convicções filosóficas ou políticas , à filiação partidária ou política , à fé religiosa e aos dados genéticos . O que pode significar que as empresas associadas podem, nos termos da lei, proceder ao tratamento destes dados pessoais sensíveis.

A CNPD considera que seria vantajoso que o Código de Conduta contivesse o compromisso de não recolher conservar ou utilizar quaisquer dados pessoais sensíveis.

Na sequência de jurisprudência firme desta Comissão encontra-se fixado que o tratamento de dados pessoais sensíveis carece de autorização prévia da CNPD e deve mostrar uma relevante pertinência e adequação, considerando a sua finalidade.

7- O artigo 5.º , nos seus dois primeiros números, concretiza de forma adequada o direito de oposição previsto na lei. Reveste particular importância o seu n.º 3 ao prever listas Robinson : as empresas associadas manterão listas de oposição com os nomes das pessoas que exercem esse direito.

8- A CNPD considera adequada a forma como o artigo 6.º trata a matéria da segurança. Considera-se que pode ser ponderada, também, a referência à comunicação de dados.

9- Sobre a relação entre empresas associadas e terceiros na transmissão de dados, o artigo 7.º inclui regras sobre a matéria constante da epígrafe e uma outra relativa a comunicações estabelecidas entre empresas associadas (n.º 4).

A CNPD considera adequadas a exigências formais de celebração de um contrato (n.º 2) e de redução a escrito (n.º 4).

Entende-se, igualmente, que as três condições apresentadas no n.º 1 se consideram relevantes e seguras nas relações entre empresas associadas e terceiros.

10- No que respeita ao artigo 8.º, esta Comissão considera que os seus conteúdos e redacção se mostram adequados para o cumprimento da Lei n.º 67/98, de 26 de Outubro. Da mesma forma se entende adequada a forma como o n.º 3 do artigo 7.º do Código de Conduta estabelece regras a seguir na relação com a CNPD.

11- A CNPD considera que uma das vantagens dos códigos de conduta, tal como o apresentado, consiste em permitir a autoregulação com a consequente eficácia sancionatória de sectores de actividade determinados. Neste sentido, a CNPD considera que no artigo 18.º do Código de Conduta deve ser ponderada a classificação dos comportamentos que dão origem à aplicação das sanções elencadas.

Conclusões :

Em face de todo o exposto, é parecer da Comissão Nacional de Protecção de Dados que:

1- Se afigura positiva a aprovação de um Código de Conduta relativa ao marketing directo, matéria sumamente relevante para a protecção de dados pessoais.

2- São adequadas as regras que visam disciplinar as relações entre as empresas do sector e a CNPD.

3- Se considera especialmente relevante para os titulares dos dados a existência de listas de registo negativo ou lista Robinson.

4- Se considera que seria adequada a fixação de um prazo máximo de trinta dias para a resposta pelo responsável pelo tratamento a uma solicitação emitida a título de direito de acesso.

5- O período de 120 dias como prazo máximo para a eliminação do nome de uma lista destinada a marketing directo se afigura excessivo.

6- Os tratamentos referidos no n.º 1 do artigo 2.º devem ser comunicados ao titular dos dados independentemente de solicitação.

7- O artigo 4.º só adquire sentido útil, no actual enquadramento legislativo, se dele for retirada a proposição final os quais apenas podem ser objecto de tratamento nos termos da lei.

8- Seria vantajoso que em relação aos dados relativos a convicções filosóficas ou políticas , à filiação partidária ou política , à fé religiosa e aos dados genéticos o Código

de Conduta apresentasse o compromisso de não os recolher, conservar ou utilizar.

9- Eventuais tratamentos que tenham por objecto dados pessoais sensíveis, nota-se que tais carecem de autorização prévia da CNPD e devem mostrar uma relevante pertinência e adequação, considerando a sua finalidade.

10- No artigo 18.º do Código de Conduta deve ser ponderada a classificação dos comportamentos que geram a aplicação das sanções elencadas.

Lisboa, de Novembro de 2003

Alexandre Sousa Pinheiro (relator)

Luís Barroso

Eduardo Campos

Amadeu Guerra

Luís Lingnau da Silveira (Presidente)